DomainToolsとは

DomainToolsは、ドメインやIPアドレスに関するデータと脅威インテリジェンスを提供し、サイバー脅威の調査、検知、対応を支援するセキュリティソリューションです。

不審なドメインやIPアドレスを起点に、WHOIS／RDAPデータ、DNSレコード、Webコンテンツ、Webサイトのスクリーンショット、SSL証明書などを調査できます。過去の情報の変化も追跡できるため、攻撃に使用されるインフラの関連性や推移を把握する際に役立ちます。

DomainToolsは、Splunk、Google SecOps、OpenCTI、Cortex XSOAR、Microsoft Sentinelなどのセキュリティプラットフォームと連携できます。DomainToolsのデータを既存のSIEM、SOAR、脅威インテリジェンスプラットフォームへ組み込むことで、調査、検知、トリアージ、対応の効率化を図れます。

DomainToolsの主なメリット

• 脅威調査の効率化：不審なドメインやIPアドレスに関する情報を、普段使用しているセキュリティツール上で確認できます。
• 攻撃インフラの把握：WHOIS／RDAP、DNS、Webコンテンツ、スクリーンショット、SSL証明書などを確認し、関連するインフラを調査できます。
• リスクに応じた優先順位付け：高リスクなIPアドレスやドメインを特定し、監視、調査、ブロックの判断に活用できます。
• 検知と対応の自動化：SIEMやSOARの検知ルール、フィード、プレイブックへDomainToolsの情報を組み込めます。
• 既存環境への統合：主要なセキュリティプラットフォームに対応し、現在の運用環境を活用しながら導入できます。
• リアルタイム情報の活用：DomainToolsのReal-Time Threat FeedsやReal-Time Observability Feedsを検知や調査に利用できます。

Splunkとの連携

DomainTools App for SplunkおよびSplunk Enterpriseでは、IrisQLとDomainToolsのIPフィードを利用できます。

IrisQLを使用したカスタム検索コマンドとSplunkのSPLマクロにより、高リスクなホスティングIPアドレスに関する情報をSplunk上で検索・分析できます。

主な活用方法

• 単一のクエリによる広範な攻撃キャンペーンの検出
• 組織のリスク基準に合わせたIPブロックリストの作成
• 指定したC2の特徴と一致するIPアドレスの検出
• 過去のメールアドレスや登録者名を使用した検索
• RDAPまたはWHOISデータを対象とした検索
• Splunkで作成したIrisQLクエリの共有と再利用

IrisQLクエリは、テキストエディター、チケット管理システム、コラボレーションツールなどでも共有できます。調査条件をチーム内で再利用し、共通のクエリに基づいた調査を進められます。

Google SecOpsとの連携

DomainToolsのReal-Time Threat Feedsは、Google Chronicle／Google SecOpsへネイティブに取り込めます。

標準のYARA-L検知ルールとChronicle SOARプレイブックも利用できます。テレメトリ内で不審なドメインやIPアドレスが確認された場合に、Irisによるルックアップを自動的に実行できます。

主な活用方法

• Real-Time Threat FeedsのGoogle SecOpsへの取り込み
• YARA-Lルールを使用した脅威検知
• 不審なドメインやIPアドレスに対するIrisルックアップ
• Chronicle SOARプレイブックによる調査フローの自動化

アラート発生後の情報収集を自動化することで、調査開始までの時間短縮と対応フローの効率化に役立ちます。

OpenCTIとの連携

DomainToolsのOpenCTIコネクターを使用することで、大規模なドメイン分析とインフラマッピングをOpenCTI上で行えます。

対応するDomainToolsの機能

• Iris Investigate API
• Iris Query Language
• Iris Detect API
• Real-Time Threat Feeds

DomainToolsのデータをOpenCTIへ取り込むことで、ドメインと関連インフラの分析や、脅威インテリジェンス情報の整理に活用できます。

Cortex XSOARとの連携

Palo Alto NetworksのCortex XSOARでは、DomainToolsのIP RiskおよびIP Hotlist Real-Time Threat Feedを利用できます。

自動プレイブックのサンプルからフィードの取り込みを実行できるため、IPアドレスのリスク情報を既存のSOARワークフローへ組み込めます。

主な活用方法

• IP Riskフィードの取り込み
• IP Hotlist Real-Time Threat Feedの取り込み
• プレイブックを使用した調査フローの自動化
• IPアドレスのリスク情報に基づく対応判断

Cyware CTIXとの連携

Cyware CTIXでは、Iris Investigate APIのレスポンスに含まれる、より多くの情報を対応に利用できるデータポイントとして活用できます。

DomainToolsが提供するドメイン情報をCyware CTIX上の脅威インテリジェンスと組み合わせ、調査や対応の判断材料として利用できます。

Torqとの連携

TorqのDomainTools連携では、IrisQLとDomain Historyを利用できます。

IrisQLを使用して、ドメインに関する次のような情報の変化を追跡できます。

• WHOIS／RDAPデータ
• DNSレコード
• Webコンテンツ
• Webサイトのスクリーンショット
• SSL証明書

現在の情報だけでなく過去の変化も確認できるため、ドメインの利用状況や関連インフラの調査に役立ちます。

Microsoft Sentinelとの連携

Azure上のMicrosoft Sentinelでは、DomainToolsのReal-Time Observability Feedsを利用できます。

対応するフィード

• NAD
• NOD
• NOH
• DomainDiscovery

DomainToolsの観測データをMicrosoft Sentinelへ取り込むことで、ドメインやホストに関する監視、分析、脅威ハンティングに活用できます。

その他の連携プラットフォーム

DomainToolsは、主要なセキュリティプラットフォームとの技術連携に対応しています。

• CrowdStrike
• Palo Alto Networks
• Anomali
• Google Chronicle／Google SecOps
• Elastic
• Splunk

SIEMやSOARとの連携により、DomainToolsのデータと分析情報を既存のセキュリティツールから利用できます。担当者が複数のツールを行き来する負担を抑え、不審なドメインやIPアドレスの特定と対応を効率化します。

脅威インテリジェンスプラットフォームとの連携では、DomainToolsのデータを既存環境へ取り込み、潜在的な脅威に関するリアルタイムアラートに活用できます。

対応する機能や利用可能なデータは、DomainToolsの製品、契約内容、連携先のプラットフォームによって異なります。ご希望の運用環境における連携可否については、お問い合わせください。

DomainToolsに関するよくある質問

DomainToolsでは何を調査できますか？

不審なドメインやIPアドレスを起点に、WHOIS／RDAPデータ、DNSレコード、Webコンテンツ、Webサイトのスクリーンショット、SSL証明書などを調査できます。Domain Historyを利用すると、これらの情報が過去にどのように変化したかも確認できます。

DomainToolsはどのようなセキュリティ業務に利用できますか？

不審なドメインやIPアドレスの調査、攻撃インフラの分析、脅威ハンティング、IPブロックリストの作成、アラートのトリアージ、インシデント対応などに活用できます。

DomainToolsはSplunkと連携できますか？

はい。DomainTools App for SplunkおよびSplunk Enterpriseでは、IrisQLとDomainToolsのIPフィードを利用できます。高リスクなホスティングIPアドレスの検索、IPブロックリストの作成、C2の特徴に一致するIPアドレスの検出、WHOIS／RDAPデータの検索などをSplunk上で行えます。

Google SecOpsと連携して調査を自動化できますか？

はい。DomainToolsのReal-Time Threat FeedsをGoogle Chronicle／Google SecOpsへ取り込めます。YARA-L検知ルールとChronicle SOARプレイブックを利用し、不審なドメインやIPアドレスが確認された際に、Irisによるルックアップを自動的に実行できます。

DomainToolsはOpenCTIと連携できますか？

はい。OpenCTIコネクターを通じて、Iris Investigate API、Iris Query Language、Iris Detect API、Real-Time Threat Feedsを利用できます。DomainToolsのデータを使用したドメイン分析やインフラマッピングに活用できます。

DomainToolsはSOAR製品と連携できますか？

はい。Cortex XSOARでは、DomainToolsのIP RiskおよびIP Hotlist Real-Time Threat Feedを利用できます。自動プレイブックのサンプルからフィードを取り込み、IPアドレスの調査や対応フローへ組み込めます。

ドメイン情報の過去の変化も確認できますか？

はい。Torqとの連携では、IrisQLとDomain Historyを利用して、WHOIS／RDAPデータ、DNSレコード、Webコンテンツ、スクリーンショット、SSL証明書の変化を追跡できます。

Microsoft SentinelでDomainToolsのデータを利用できますか？

はい。Azure上のMicrosoft Sentinelでは、DomainToolsのReal-Time Observability Feedsを利用できます。対応するフィードには、NAD、NOD、NOH、DomainDiscoveryがあります。

DomainToolsは既存のセキュリティ環境へ導入できますか？

DomainToolsは、Splunk、Google Chronicle／Google SecOps、Palo Alto Networks、CrowdStrike、Anomali、Elasticなどの主要なセキュリティプラットフォームとの技術連携に対応しています。DomainToolsのデータを既存のSIEM、SOAR、脅威インテリジェンスプラットフォームへ組み込めます。

連携先によって利用できる機能は異なりますか？

はい。利用できるフィード、API、検索機能、プレイブックなどは、連携先のプラットフォームや契約内容によって異なります。導入予定のプラットフォームや実現したい運用内容をご提示いただければ、適した構成をご案内します。

まとめ

DomainToolsは、ドメインやIPアドレスに関する脅威インテリジェンスを既存のセキュリティ運用へ組み込むためのソリューションです。

Splunk、Google SecOps、OpenCTI、Cortex XSOAR、Cyware CTIX、Torq、Microsoft Sentinelなどと連携し、不審なドメインやIPアドレスの調査、リスク評価、脅威検知、対応の自動化を支援します。

• 不審なドメインやIPアドレスの調査を効率化
• DomainToolsの脅威フィードを既存環境で活用
• リスクの高い対象を特定し、対応の優先順位付けを支援
• SIEM、SOAR、脅威インテリジェンスプラットフォームと連携
• 検知から調査、対応までのワークフローを効率化

DomainToolsの製品、ライセンス、対応プラットフォーム、導入構成については、お気軽にお問い合わせください。

メーカーの製品サイト
https://www.domaintools.com/

【言語】英語